Las empresas que operan en la regi\u00f3n de Am\u00e9rica Latina (LATAM) son el objetivo de un nuevo troyano bancario basado en Windows llamado TOITO\u00cdN<\/strong> desde mayo de 2023.<\/p>\n “Esta campa\u00f1a sofisticada emplea un troyano que sigue una cadena de infecci\u00f3n de varias etapas, utilizando m\u00f3dulos especialmente dise\u00f1ados en cada etapa”, dijeron los investigadores de Zscaler, Niraj Shivtarkar y Preet Kamal. dicho<\/a> en un informe publicado la semana pasada.<\/p>\n “Estos m\u00f3dulos est\u00e1n dise\u00f1ados a medida para llevar a cabo actividades maliciosas, como inyectar c\u00f3digo da\u00f1ino en procesos remotos, eludir el Control de cuentas de usuario a trav\u00e9s de COM Elevation Moniker y evadir la detecci\u00f3n de Sandboxes a trav\u00e9s de t\u00e9cnicas inteligentes como reinicios del sistema y verificaciones de procesos principales”.<\/p>\n El esfuerzo de seis etapas tiene todas las caracter\u00edsticas de una secuencia de ataque bien dise\u00f1ada, comenzando con un correo electr\u00f3nico de phishing que contiene un enlace incrustado que apunta a un archivo ZIP alojado en una instancia de Amazon EC2 para evadir las detecciones basadas en el dominio.<\/p>\n Los mensajes de correo electr\u00f3nico aprovechan un se\u00f1uelo con el tema de la factura para enga\u00f1ar a los destinatarios involuntarios para que los abran, activando as\u00ed la infecci\u00f3n. Dentro del archivo ZIP hay un ejecutable de descarga que est\u00e1 dise\u00f1ado para configurar la persistencia por medio de un archivo LNK en la carpeta de inicio de Windows y comunicarse con un servidor remoto para recuperar seis cargas \u00fatiles de la pr\u00f3xima etapa en forma de archivos MP3.<\/p>\n El descargador tambi\u00e9n es responsable de generar un script por lotes que reinicia el sistema despu\u00e9s de un tiempo de espera de 10 segundos. Esto se hace para “evadir la detecci\u00f3n de sandbox, ya que las acciones maliciosas ocurren solo despu\u00e9s del reinicio”, dijeron los investigadores.<\/p>\n Entre las cargas \u00fatiles obtenidas se incluye “icepdfeditor.exe”, un binario v\u00e1lido firmado por ZOHO Corporation Private Limited, que, cuando se ejecuta, descarga una DLL no autorizada (“ffmpeg.dll”) con el nombre en c\u00f3digo Krita Loader.<\/p>\n El cargador, por su parte, est\u00e1 dise\u00f1ado para decodificar un archivo JPG descargado junto con las otras cargas \u00fatiles y lanzar otro ejecutable conocido como el m\u00f3dulo InjectorDLL que invierte un segundo archivo JPG para formar lo que se llama el m\u00f3dulo ElevateInjectorDLL.<\/p>\n Posteriormente, el componente InjectorDLL se mueve para inyectar ElevateInjectorDLL en el proceso “explorer.exe”, luego de lo cual un Control de cuentas de usuario (UAC<\/a>) se realiza un bypass, si es necesario, para elevar los privilegios del proceso y se descifra el troyano TOITOIN y se inyecta en el proceso “svchost.exe”.<\/p>\n \ud83d\udd10 Seguridad PAM: soluciones expertas para proteger sus cuentas confidenciales<\/p>\n <\/a><\/p>\n Este seminario web dirigido por expertos lo equipar\u00e1 con el conocimiento y las estrategias que necesita para transformar su estrategia de seguridad de acceso privilegiado.<\/p>\n Reserve su lugar<\/a><\/section>\n “Esta t\u00e9cnica permite que el malware manipule los archivos del sistema y ejecute comandos con privilegios elevados, lo que facilita m\u00e1s actividades maliciosas”, explicaron los investigadores.<\/p>\n TOITOIN viene con capacidades para recopilar informaci\u00f3n del sistema, as\u00ed como datos de recolecci\u00f3n de navegadores web instalados como Google Chrome, Microsoft Edge e Internet Explorer, Mozilla Firefox y Opera. Adem\u00e1s, comprueba la presencia de Topaz Online Fraud Detection (OFD), un m\u00f3dulo antifraude<\/a> integrado a plataformas bancarias en la regi\u00f3n LATAM.<\/p>\n Actualmente se desconoce la naturaleza de las respuestas del servidor de comando y control (C2) debido a que el servidor ya no est\u00e1 disponible.<\/p>\n “A trav\u00e9s de correos electr\u00f3nicos de phishing enga\u00f1osos, mecanismos de redireccionamiento intrincados y diversificaci\u00f3n de dominios, los actores de amenazas entregan con \u00e9xito su carga maliciosa”, dijeron los investigadores. “La cadena de infecci\u00f3n de m\u00faltiples etapas observada en esta campa\u00f1a implica el uso de m\u00f3dulos desarrollados a medida que emplean varias t\u00e9cnicas de evasi\u00f3n y m\u00e9todos de encriptaci\u00f3n”.<\/p>\n <\/p>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/07\/1689008204_430_Nuevo-troyano-bancario-TOITOIN-dirigido-a-empresas-latinoamericanas.jpg\")
<\/div>\n